Crossfire HGWC Bypass

Che · 09/01/2011, 16:59

Joah hab mir mal aus Spaß nen alten Bypass zerlegt und das hier rausgefunden:

Der Bypass (der sehr gut funktioniert hat) macht nichts anderes als Crossfire mit diesem Parameter zu starten:

Code:

-HGWSK 08204BF7FDFB69342B376BEC675A1046B63256E12904B9536955558E6B22C53DB9012AA3C864E9D20A8FD5562A892E126AF7219321BB3891CAF66EF137AFCF55E9701A1FEFB29EE14EDFA8DAD9FA1D12BA2527E5C8AD68F6B860C5AA089F51E578766A7CCB58B5D62CED2B5D0430977E

Als Batch-Datei sieht das dann so aus:

Code:

start crossfire.exe -HGWSK 08204BF7FDFB69342B376BEC675A1046B63256E12904B9536955558E6B22C53DB9012AA3C864E9D20A8FD5562A892E126AF7219321BB3891CAF66EF137AFCF55E9701A1FEFB29EE14EDFA8DAD9FA1D12BA2527E5C8AD68F6B860C5AA089F51E578766A7CCB58B5D62CED2B5D0430977E

Scheint irgend n SecurityToken fürn HGWC zu sein.. kp mir auch wurscht... ob das noch aktuell ist weiß ich auch ned, hab kein Crossfire mehr aufm Rechner, aber wenn jemand damit was anfangen kann freuts mich, ansonsten wayne^^

Joah da ich nichmehr in der Section aktiv bin, werde ich wahrscheinlich den Thread hier nichmehr so oft öffnen und gucken ob iwelche Fragen aufkommen... also nit wundern, wenn ich erst spät/garnicht antworte
Am besten mir einfach zusätzlich noch ne PM schreiben

Ende! · 09/02/2011, 12:54

#approved (kein DL)

Das Security-Token gilt (inzwischen?) jeweils nur für eine Session. Ich hab noch nie versucht das ganze Ding zu decrypten, dennoch wird das spätestens mit einem Patch nutzlos geworden sein, da die Versionsnummer von CF relativ sicher übergeben wird. Somit mach ich hier auch direkt mal dicht. Wenn diesbezüglich jemand mehr weiß als ich, kann er mir aber gerne eine PM senden

Edit:

Quote:

(13:42:23) Headpuster:
(13:42:26) Headpuster: reopen mal bitte
(13:45:49) Ende!: wozu?
(13:45:56) Headpuster: bin gerade am reversen
(13:46:10) Headpuster: und hooke dann die function zu generieren des tokens
(13:46:17) Headpuster: und pack das in ne console app
(13:46:19) Headpuster: und poste die dann

#reopened ..

Che · 09/02/2011, 16:47

Wenn bedarf besteht kann ich auch den kompletten Source vom Bypass posten.. müsste vorher nur nochmal den Source aufräumen

TabLeT...? · 09/02/2011, 17:01

Geht der auch bei CF EU ?

~~vwap~~ · 09/02/2011, 18:54

Der "geht" garnicht.
Ich hab mir jetzt mal mit Olly den Call der Function geholt:

Code:

CPU Disasm
Address   Hex dump          Command                                  Comments
00402A08  |.  68 10764900   PUSH 00497610                            ; /<%s> = "1EBEBADF507FFAB7F43CAF34E7DA662A0C7494121DDC4234558AAF542088B2027DF97D5B64F4CB9CB00DCC5FF982DB355511E9DD682C69AD4B47DD79A200A33A704D46181B71F5A4CA19091A3F4C27D974D2D1971D768F980559A257A5C16A8806D7BC4362A40F25ECE0590F26E0A4BB"
00402A0D  |.  8D86 38080000 LEA EAX,[ESI+838]                        ; |
00402A13  |.  50            PUSH EAX                                 ; |<%s>
00402A14  |.  8D4C24 1C     LEA ECX,[LOCAL.5]                        ; |
00402A18  |.  68 5C524700   PUSH 0047525C                            ; |Format = "%s -HGWSK %s"
00402A1D  |.  51            PUSH ECX                                 ; |Arg1 => OFFSET LOCAL.5
00402A1E  |.  E8 EDEDFFFF   CALL 00401810                            ; \HGWC.00401810

Jedoch ist die Function, also 0x00497610, crypted, unzwar Themida, somit hat sich das erledigt.
:f

Saedelaere* · 09/02/2011, 19:27

Öhm, du bist schon längst zu weit. An 0x00497610 befindet sich keine Funktion, sondern nur der schon generierte String.

Der call muss irgendwo früher erfolgen.

~~vwap~~ · 09/02/2011, 20:40

Hm, stimmt, werde nochmal suchen.

LoveStorex3 · 09/02/2011, 21:28

Quote:

Originally Posted by TabLeT...?

Geht der auch bei CF EU ?

Und geht er nun bei EU ?

~~vwap~~ · 09/02/2011, 23:30

Der "geht" garnicht, wie bereits gesagt.

Che · 09/03/2011, 16:27

natürlich geht er nicht, der ist steinalt xD
Wenn ihr die damaligen CF-Files braucht, sagts mir die kann ich natürlich hochladen, müsste nur wissen welche Datei genau...